Registro fornitori Excel: come costruirlo per un audit

Indice

• Colonne minime del registro fornitori in Excel
  • Dodici campi da non trattare come facoltativi
• Come classificare e valutare ogni fornitore
  • Segregazione dei compiti nel ciclo di valutazione
• Scadenze documentali e alert da impostare
  • Formula di stato e limite da conoscere
• Filtri, convalida dati e controlli di base
• Quando il foglio Excel non basta più
• Domande frequenti sul registro fornitori Excel
  • Posso usare un solo foglio per fornitori ordinari e critici
  • Un fornitore non ancora qualificato può operare
  • Come si gestisce un subappalto scoperto dopo la firma
  • Una deroga rinnovata ogni anno è un'eccezione o una non conformità
  • Chi firma la valutazione del fornitore
• Verifica il registro prima dell'audit
  • Checklist pre audit in sei domande

Colonne minime del registro fornitori in Excel

Nessuno contesta quanti fornitori avete censito. La contestazione nasce quando una riga non indica il referente interno, la data dell'ultima valutazione o il documento che la sostiene. Il contesto aiuta a capire perché succede spesso. Nel 2023, secondo il dato ISTAT riportato nella pagina dell'Agenzia delle Entrate sulla fatturazione elettronica, il 47,9% delle PMI italiane utilizzava almeno un software gestionale, ma soltanto il 13,6% condivideva elettronicamente dati con fornitori o clienti lungo la catena di approvvigionamento. Lo strumento esiste, lo scambio strutturato molto meno.

Una riga è difendibile quando una persona che non ha compilato il file riesce a ricostruire relazione, decisione ed evidenza senza chiedere spiegazioni all'autore.

Dodici campi da non trattare come facoltativi

I campi CIG e CUP non sono dettagli amministrativi marginali. Come chiarisce la comunicazione dell'Agenzia delle Entrate ai fornitori sulla fatturazione elettronica verso la PA, le fatture relative a rapporti con la PA devono riportare il Codice Identificativo di Gara (CIG), salvo le eccezioni previste dalla normativa sulla tracciabilità, e il Codice Unico di Progetto (CUP) quando riguardano opere pubbliche. Registrarli nel foglio permette di passare dal fornitore alla gara, al contratto, all'ordine e alla fattura senza ricostruzioni manuali.

L'ID fornitore resta stabile anche dopo fusioni, cambi di denominazione o sostituzione del referente commerciale. Cambiano gli attributi, con data e motivazione nello storico, non l'identità della riga. È questa stabilità che consente di collegare valutazioni vecchie e nuove allo stesso soggetto.

Come classificare e valutare ogni fornitore

La classificazione viene prima della valutazione perché determina profondità del controllo e frequenza del riesame. Se tutti i fornitori ricevono lo stesso questionario, sprecherete tempo sui rapporti ordinari e ne dedicherete troppo poco a quelli che possono interrompere un processo o accedere a dati sensibili. Se invece la classe è assegnata a sensazione, l'auditor non potrà verificare il criterio.

Usate quattro fattori osservabili. Valutate impatto sulla continuità, accesso a dati personali o sistemi, sostituibilità in tempi brevi e presenza di subfornitura. Un fornitore con accesso a sistemi di produzione è almeno rilevante, anche se l'importo annuo è modesto. Un fornitore di cancelleria facilmente sostituibile resta ordinario, anche se il rapporto dura da anni.

Le frequenze sono proposte operative da fissare nella politica interna, non obblighi generali validi per ogni organizzazione. Per costruire le domande in modo coerente con la classe potete partire dal questionario di qualifica fornitori, separando sempre il punteggio dalla decisione. Il punteggio riassume risposte ed evidenze. La decisione di qualificare, qualificare con riserva o sospendere resta dell'owner e di chi approva.

Segregazione dei compiti nel ciclo di valutazione

Il referente interno propone classe ed esito e raccoglie le evidenze. Il responsabile compliance o il responsabile della funzione coinvolta approva. Chi verifica coerenza e completezza è una persona diversa da chi ha compilato il questionario o raccolto le attestazioni. Nome, ruolo e data finiscono nello storico modifiche.

Questa separazione conta anche per GDPR e Modello 231. La classe va collegata rispettivamente ai trattamenti concreti e ai processi sensibili, con ruolo privacy, accordo quando richiesto, controlli di qualificazione e azioni correttive. Il foglio documenta il collegamento, non sostituisce risk assessment, analisi giuridica o giudizio dell'Organismo di Vigilanza.

Scadenze documentali e alert da impostare

Una data scritta in una colonna non è un controllo. Diventa un controllo quando genera un avviso, raggiunge un responsabile nominato e produce una richiesta tracciata al fornitore. Per organizzare richieste e solleciti in modo ripetibile è utile affiancare al registro uno scadenzario fornitori per verifiche periodiche, con stato separato per documento richiesto, ricevuto, verificato e scaduto.

Le soglie indicate sono scelte operative da approvare internamente. Rendetele più ampie per documenti che richiedono trattativa o verifica esterna, più brevi per documenti che il fornitore può produrre rapidamente. Ogni richiesta di evidenza ai fornitori collega il controllo, il fornitore, lo stato e la scadenza, anche per il perimetro dei fornitori ICT DORA.

Formula di stato e limite da conoscere

Se la scadenza è nella cella F2, la colonna di stato può usare questa formula in italiano. =SE(F2<OGGI();"Scaduto";SE(F2-OGGI()<=30;"In scadenza";"Valido")). Applicate poi la formattazione condizionale per rendere immediatamente visibili righe scadute e in scadenza.

Limite operativo. La funzione OGGI si aggiorna all'apertura del file. Se nessuno apre il registro, nessun alert parte.

Serve quindi una revisione settimanale assegnata a una persona, con esito registrato. Tenete separate data di ricezione e data di scadenza. La prima prova quando il documento è arrivato, la seconda fino a quando resta valido. Confonderle rende impossibile dimostrare tempestività della richiesta e continuità della copertura documentale.

Filtri, convalida dati e controlli di base

La sequenza seguente riduce gli errori più frequenti senza trasformare Excel in un database. L'infografica riassume i passaggi strutturali da completare prima di popolare altre righe.

1. Tabella strutturata. Trasformate l'elenco con Ctrl+T e intestazioni uniche, così formule e filtri seguono le nuove righe. Errore tipico, celle unite o intestazioni duplicate che rompono filtri e riferimenti.
2. Convalida dati. Create elenchi a discesa per classe, stato, owner e tipo di servizio, evitando varianti come Critico e critico. Errore tipico, non aggiornare l'elenco quando cambia una classe e lasciare valori storici incoerenti.
3. Protezione del foglio. Con Proteggi foglio lasciate modificabili solo le colonne di input e custodite la password presso il responsabile del registro. Errore tipico, scambiare la protezione per controllo degli accessi, mentre contano i permessi di condivisione del file.
4. Filtro sui critici scaduti. Estraete fornitori critici con valutazione scaduta prima di ogni riesame. Errore tipico, perdere le righe senza data, che vanno cercate separatamente perché il filtro temporale può escluderle.
5. Versioni e modifiche. Usate la cronologia di OneDrive o SharePoint e aggiungete un foglio Registro modifiche con data, autore, campo e motivazione. La cronologia tecnica non spiega perché uno stato è cambiato.
6. Duplicati. Applicate la formattazione condizionale a partita IVA e ID. Errore tipico, cercare duplicati prima di normalizzare la partita IVA, ottenendo falsi negativi.

Il video seguente è utile per rivedere l'impostazione pratica degli strumenti nel foglio, ma il test decisivo resta sui vostri dati.

Provate il test di accettazione. Filtrate la classe critica e controllate che ogni riga abbia owner, data di valutazione ed evidenza collegata. Una sola riga incompleta basta per dire che il registro non è pronto, anche se la formattazione è impeccabile.

Quando il foglio Excel non basta più

L'auditor chiede chi ha approvato l'ultimo riesame del fornitore che ospita i vostri dati, e la risposta richiede di confrontare tre copie dello stesso file. Excel regge il censimento iniziale; diventa fragile quando deve governare relazioni, responsabilità e prove nel tempo.

Il benchmark più esigente resta il registro delle informazioni sugli accordi per servizi ICT previsto da DORA, Regolamento UE 2022/2554, per gli intermediari finanziari: deve rappresentare relazione contrattuale e catena di fornitura, distinguere i servizi che supportano funzioni essenziali o importanti e riportare subfornitori, localizzazione dei dati e date di inizio, rinnovo e cessazione. Anche fuori da quel perimetro, è la misura giusta per valutare il vostro foglio.

Il passaggio a uno strumento dedicato diventa necessario quando riconoscete segnali precisi, ciascuno legato a una domanda che l'auditor farà.

• Versioni divergenti. Più persone lavorano su copie diverse e nessuno sa quale sia il riferimento: "mostratemi la versione approvata" diventa un'indagine.
• Subfornitura non tracciata. La catena si sviluppa su più livelli ma il foglio mostra solo il contraente principale.
• Servizi scollegati. I servizi ICT non sono collegati alle funzioni essenziali o importanti, ai processi e ai sistemi supportati.
• Evidenze disperse. Documenti e approvazioni restano in email o chat, senza una versione certa.
• Estrazioni lente. Il numero di righe e le eccezioni rendono incerta ogni risposta filtrata.
• Integrità richiesta. L'audit chiede data certa, storico delle modifiche e tracciabilità delle operazioni critiche.

In questi casi un software per la gestione dei fornitori e la raccolta di prove e solleciti può centralizzare richieste, versioni dei documenti ed evidenze, mantenendo la tracciabilità delle operazioni critiche. AuditReady supporta questo lavoro operativo; non valuta la conformità legale, non fornisce consulenza legale e non sostituisce la decisione dell'owner.

Se una domanda dell'auditor richiede più di cinque minuti di ricostruzione manuale, il foglio ha esaurito il suo ruolo.

Domande frequenti sul registro fornitori Excel

Posso usare un solo foglio per fornitori ordinari e critici

Sì, se la classe di criticità è obbligatoria e selezionata da elenco a discesa. Per i critici aggiungete campi su contratto, questionario, ultimo report di verifica, subfornitori e piano di remediation. Un unico foglio resta leggibile se i filtri separano chiaramente i livelli di controllo.

Un fornitore non ancora qualificato può operare

Non su processi critici. Resta nello stato da qualificare fino alla prima valutazione approvata. Registrate data di invio della richiesta, documenti attesi e owner interno, così l'attesa è visibile e non diventa un'autorizzazione implicita.

Come si gestisce un subappalto scoperto dopo la firma

Aggiornate la riga del servizio, registrate data e motivazione nello storico e chiedete al fornitore principale l'elenco dei subfornitori. Collegate la richiesta a un controllo con owner e scadenza, poi rivalutate criticità e accesso a dati o sistemi prima di confermare la qualifica.

Una deroga rinnovata ogni anno è un'eccezione o una non conformità

Un'eccezione è autorizzata, motivata e a tempo. Se viene rinnovata senza nuova valutazione, controlli compensativi e termine credibile, l'auditor la tratterà come finding. La ripetizione trasforma una scelta controllata in una prassi non governata.

Chi firma la valutazione del fornitore

Il referente propone, il responsabile approva e la verifica è svolta da una persona diversa da chi ha eseguito la valutazione. Registrate nomi e date, non solo l'esito.

Verifica il registro prima dell'audit

Gli errori che indeboliscono un audit raramente riguardano la grafica del foglio. Riguardano la catena di prova. Approvazioni retroattive cambiano date di stato senza traccia. File chiamati registro_finale_v3 generano copie concorrenti. Evidenze conservate in email e chat non mostrano versione né verificatore. Azioni correttive vengono chiuse perché qualcuno dichiara di averle completate, senza controllo indipendente. Screenshot senza data, autore o riferimento al fornitore non reggono una domanda precisa dell'auditor.

I rimedi sono concreti. Mantenete un solo file di riferimento, separate la data di ricezione dalla data di stato, collegate ogni evidenza con la sua versione e conservate autore e motivazione di ogni modifica.

Checklist pre audit in sei domande

1. Completezza dei critici. Ogni fornitore critico ha owner interno e data dell'ultima valutazione?
2. Esistenza delle evidenze. Ogni documento collegato esiste nella versione indicata ed è accessibile a chi deve mostrarlo?
3. Gestione degli scaduti. Ogni scadenza in stato Scaduto ha una richiesta di rinnovo tracciata, con destinatario e data?
4. Storico recente. Le modifiche degli ultimi dodici mesi riportano autore, motivazione e decisione approvata?
5. Richieste collegate. Le richieste ai fornitori sono associate a controlli, destinatario, stato e scadenza?
6. Leggibilità indipendente. Una persona che non ha mai aperto il file riesce a rispondere a una domanda di audit in cinque minuti?

La checklist va eseguita da chi non gestisce il registro, altrimenti la verifica conferma le proprie abitudini. Fissate una data, aprite il file e percorrete le sei domande in ordine. Per la seconda e la sesta, fate un test pratico: scegliete tre fornitori a caso, seguite i collegamenti alle evidenze e cronometrate quanto serve a produrre il documento richiesto. Se il percorso passa per email, chat o la memoria di una persona, il punto è insufficiente.

Le richieste ai fornitori meritano un controllo dedicato, perché è qui che la catena di prova si interrompe più spesso. Per creare una richiesta di evidenza si scelgono i controlli collegati, il destinatario, fornitore, cliente o interno, e la modalità: upload, presa visione o entrambe. Questa struttura evita richieste generiche del tipo inviare documentazione aggiornata, che non indicano quale controllo devono provare né con quale criterio verranno accettate.

Ogni esito negativo va registrato come non conformità con owner, azione correttiva e scadenza, poi il risultato del riesame va firmato e datato come evidenza. Un registro credibile mostra problemi rilevati, decisioni prese e chiusure verificate.

Se il registro richiede ancora ricerche manuali tra file, email e cartelle condivise, potete usare AuditReady per centralizzare controlli ed evidenze, richiedere documenti ai fornitori tramite link sicuri a scadenza e tracciare le operazioni critiche. La piattaforma organizza il materiale in un pacchetto di evidenze strutturato, con owner, scadenze e remediation tracciati, lasciando sulle persone la responsabilità delle decisioni.